Access Control

非公共系统必须在访问之前识别用户和/或设备.

1. 身份验证源使用定义的标识类型 Identification and Authentication standard section 1.
   Applies to: Low / Moderate / High
2. 任何用于访问高风险大学资源的设备都必须被识别为健康设备, 通过以下批准的方法之一管理技术设备, Azure Conditional access, 签署的设备证书或其他符合以下条件的oit批准的库存:

   Applies to: High

   1. Currently supported operating system.
   2. 必须在30天内安装最新的安全补丁，以便有宽限期按要求安装补丁.
   3. Device has a password set.
   4. Device is encrypted.
   5. Device has the system firewall enabled.
   6. Identified as a unique managed technology device.
   7. 大学托管端点安全安装在支持的位置.
   8. 不支持这些检查的系统必须要求流量来自特定的经过验证的网络.
3. 授权是基于个人身份授予资源的, 在一个由it管理的身份源内的组或从属关系.

   Applies to: Low / Moderate / High

To ensure compliance with APM 30.10 B-1以下标准确保最低特权得到实施并可审计:

1. 系统/应用程序所有者必须在文档以及任何相关的系统安全计划或知识库文章中记录授权帐户类型或组.

   Applies to: Low / Moderate / High

   1. If multiple levels of permissions are provided, such as privileged or administrator roles, each group must be documented.
   2. 中等和高风险应用程序还必须提供提供给帐户类型或组的角色/权限.
2. 限制仅对具有合法教育兴趣或文档化业务需求的用户和系统进行访问.

   Applies to: Low / Moderate / High

3. 记录和保留用户访问请求和批准至少1年.

   Applies to: Moderate / High

4. 一旦不再需要访问，就禁用帐户访问.

   Applies to: Low / Moderate / High

5. 根据APM 30，特权功能必须仅限于打算成为特权帐户的帐户.10 Section A-2.

   Applies to: Moderate / High

   1. 特权帐户通过“su-”、“ad-”、“admin-”或“net-”前缀标识.
   2. 通过“v-”前缀标识的供应商帐户可以作为特权帐户使用，如果记录为特权帐户.
6. 如果在应用程序文档中记录为特权帐户，则可能存在特定于本地系统或应用程序的未使用这些前缀的特权帐户.
7. 根据APM 30，特权帐户不能用于非特权功能.10 Section B-1.

确保数据不被不当共享:

1. External systems for storage:
   1. 不得用于“批准存储地点”中定义的系统。³ 或者“哪些Microsoft 365应用程序被批准使用”?‘⁴ knowledge base articles.

      Applies to: Low / Moderate / High

      1. 如果OIT Security识别出足够的风险，并且CIO/VP批准了限制，则未经批准的系统或应用程序将通过网络或其他应用程序控制受到限制.
   2. 是否只可用于大学资料，须经资讯科技署审核及批准后才可用于大学用途.

      Applies to: Low / Moderate / High

2. For public systems:
   1. 应用程序所有者必须创建并维护授权发布的用户列表.

      Applies to: Low / Moderate / High

   2. 应用程序所有者必须定义一个审查过程, including a data sensitivity review, 在发布或启用自动发布系统的情况下.

      Applies to: Low / Moderate / High

   3. 应用程序所有者必须在创建系统时向OIT注册，并证明发布的信息不会也不会包含非bet365亚洲官网，并由系统所有者或OIT自行决定定期进行审查.

      Applies to: Low / Moderate / High

   4. 应用程序所有者必须定义帖子/内容删除或更正程序.

      Procedure must:

      1. Include who removals must be reported to.
      2. 能够按照APM 30的要求及时完成CSIRT要求的修复工作.14.

         Applies to: Low / Moderate / High

为确保登录机制的信任，系统必须遵循以下标准:

1. 10分钟内最多20次错误尝试后自动锁定帐户.

   Applies to: Low / Moderate / High

2. 管理的技术设备必须包括在系统使用通知知识库文章中定义的经批准的系统使用通知⁸.

   Applies to: Low / Moderate / High

   1. 应用程序所有者必须创建并维护授权发布的用户列表.

1. 在一段时间不活动(空闲)后，为用户访问操作系统强制会话锁定和超时:

   Applies to: Low / Moderate / High

   Device/Access type	Lockout	Timeout
   Default	15 mins	N/A
   High-risk systems	5 mins	N/A
   Shared workstations	15 mins	20 mins
   Shared high-risk workstations	5 mins	20 mins
   SSH Access	3 min keep alive	90 mins

   1. 延长超时的请求必须得到OIT安全部门的批准.
2. 根据NIST 800-63b，对用户访问和空闲超时或锁定进行限制.
   1. 应用程序必须有30天的会话限制，或者在14天不活动(空闲)后锁定/超时。.

      Applies to: Low

   2. 应用程序必须有12小时的会话限制和30分钟不活动(空闲)后的超时.

      Applies to: Moderate

      1. 重新身份验证必须使用IT帐户创建中定义的至少一(1)个身份验证因素, Retention and Expiration Standards.
      2. 与被管理设备或应用程序的会话可以利用设备锁定期，而不是通过web应用程序强制执行.
   3. 应用程序必须有12小时的会话限制，并且在不活动(空闲)15分钟后锁定。.

      Applies to: High

      1. 重新身份验证必须使用IT Account Creation定义的至少两(2)个身份验证因素, Retention and Expiration Standards.
3. 操作系统的锁定必须显示模式隐藏显示，如锁定屏幕, static images, a clock or even a blank screen.

   Applies to: Low / Moderate / High

4. 当用户或管理员请求时，完全自动地终止用户会话.

   Applies to: Low / Moderate / High

5. 当会话不再需要或有效时，自动终止会话.

   Applies to: Low / Moderate / High

通过U of I VPN、VPN授予远程访问权限.uidaho.Edu，或符合这些标准的经批准的路径:

1. Authentication events are recorded with user, timestamp, authentication outcome, remote and assigned IP.
2. 远程访问必须使用大学证书和oit管理的MFA.
3. 身份验证和会话将使用强大的现代TLS加密，并保持最新状态.
   1. 监管数据将需要使用经批准和验证的算法，如FIPS.
4. 远程访问高风险网络需要对设备进行鉴权，请参见本文档C-1b章节.

确保个人可以安全地访问和使用数据和系统, 他们必须使用适当的U of I无线网络，同时在校园内使用无线网络，这将符合以下标准:

1. 使用的无线接入点记录在NMS内，并由OIT管理.
2. 无线访问需要通过加密通道进行身份验证.
   1. U of I内部网络，如AirVandalGold - WPA2 Enterprise，使用PEAP和MSCHAPv2或EAP-TLS
   2. U of I公共、来宾或事件网络- WPA2预共享密钥(PSK)